ID-kaardi tarkvaras tuvastati kriitiline turvanõrkus

Google Chrome veebibrauser.Foto: Shutterstock

Tartu Ülikooli teadlased leidsid ID-kaardi brauserilaiendustest kriitilise turvanõrkuse, mille ärakasutamisel oleksid kolmandad isikud saanud inimeste ID-kaartidele ligipääsu. 

Kurjategija saanuks pistikprogrammi nõrkust ära kasutada, kui ta kas võtab üle või omab veebilehte, kus saab ID-kaardiga autentida. Kui kasutaja logib ründaja kontrolli all olevasse portaali ID-kaardiga, siis ründaja saanuks kasutada autentimistoimingu infot, et kasutaja nimel sisse logida mõnda teise e-teenusesse ilma, et ta seda teaks.

Turvanõrkus ohustas kõiki levinud brausereid

Detsembris teatas RIA partnerasutus nõrkusest veebilehitseja pluginas ehk programmis, mida kasutatakse ID-kaardiga e-teenusesse digiallkirja andmiseks Chrome’i, FireFoxi, Safari, Internet Exploreri Edge’I ja Edge Chromiumi veebilehitsejas.

RIA elektroonilise identiteedi osakonna juhi Mark Erlichi sõnul ei ole neile teadaolevalt nõrkust ära kasutatud ning ükski kasutaja ei ole tänase info kohaselt kahju kannatanud. Turvaviga on parandatud ning kasutajad ei pea muretsema.

“Nõrkus polnud selline, millele võinuks kurjategijad lihtsalt otsa komistada, vaid selle avastamiseks tuli vaeva näha ning teoreetiliseks kuritarvitamiseks oli vaja ka omada kontrolli veebilehe üle, kus saab end ID-kaardiga autentida,“ täpsustas Erlich.

Tema sõnul ilmestab e-riigi tugevust ja head koostööd kogukonnaga see, et pidevalt kontrollitakse eID lahenduste turvalisust.

“Kui nõrkus leitakse, siis antakse sellest kohe teada. Nii saab riik kohe reageerida ning nõrkuse eemaldada. Suur tänu partneritele ja teadlastele, kes avastasid nõrkuse enne kuritarvitamisi ja sellest teada andsid,” ütles Erlich.

Brauserilaienduse uuendamise järel peavad osad e-teenused omapoolseid muudatusi tegema. See tähendab, et seni kuni pole e-teenus värskeid uuendusi sisse viinud, ei saa sinna ID-kaardiga sisse logida.

“Meie teada on selliseid teenuseid vähe. Seega on mõju inimeste netiharjumustele väike,” lausus Erlich. Suuremad e-teenuse pakkujad on tänaseks vajalikud uuendused teinud ning ID-kaardi kasutamine ei ole neis teenustes seetõttu häiritud.

“Paraku on digimaailmas üsna tavaline, et aeg-ajalt avastatakse turvanõrkusi, mis siis kiiresti parandatakse. Ükski lahendus ei püsi turvalisena niisama, vaid neid tuleb kogu aeg uuendada ja kontrollida. RIA, meie partnerid avalikus ja erasektoris ning teadlased tegelevad pidevalt turvanõrkuste väljaselgitamise ja parandamisega, et võimaliku ründaja uute võtetega sammu pidada,” lisas Erlich.

Kui tarkvara veel ei kuva automaatse uuendamise teadet, siis saab uue versioon alla laadida ID.ee kodulehelt.

Populaarsed lood mujal Geeniuses

Igal argipäeval

Ära jää ilma päeva põnevamatest lugudest

Saadame sulle igal argipäeval ülevaate tehnoloogia-, auto-, raha- ja meelelahutusportaali olulisematest lugudest.